Tweet
Các lỗ hổng của IP – Vì sao không nên tin một gói tin chỉ vì địa chỉ nguồn?
IP (Internet Protocol) là nền tảng của Internet. Nhưng có một điểm rất quan trọng:
Đây là cơ sở để nhiều kiểu tấn công như IP Spoofing, MITM, Session Hijacking, DoS và DDoS có thể xảy ra.
1. Điểm yếu nằm trong cách IP hoạt động
IP là giao thức connectionless, hoạt động theo nguyên tắc best-effort. Bản thân IP không đảm bảo:
Ví dụ:
Source: 10.10.10.10 → Destination: 192.168.1.10
Thiết bị nhận có thể xử lý packet dựa trên Source IP này, nhưng IPv4 không tự chứng minh rằng người gửi thực sự là 10.10.10.10.
2. IP Spoofing – Giả mạo địa chỉ IP
IP Address Spoofing xảy ra khi attacker tạo packet với Source IP giả.
Attacker → [Source IP giả] → Server
Server có thể tưởng packet đến từ một hệ thống hợp lệ.
IP Spoofing đặc biệt hữu ích với attacker khi chúng không cần nhận traffic trả về, chẳng hạn trong một số cuộc tấn công DoS/DDoS hoặc reflection/amplification.
Các biện pháp như ACL, Ingress/Egress Filtering và uRPF có thể giúp hạn chế spoofing.
3. Man-in-the-Middle – Đứng giữa hai bên
Trong MITM (Man-in-the-Middle), attacker tìm cách chen vào giữa hai hệ thống:
Client ←→ Attacker ←→ Server
Attacker có thể đọc, sao chép, sửa đổi rồi chuyển tiếp traffic.
Nếu attacker chỉ bí mật thu thập traffic mà không sửa đổi, hành vi này thường được gọi là Eavesdropping – nghe lén.
Đó là lý do các giao thức mã hóa như TLS/HTTPS, SSH và IPsec rất quan trọng.
4. Session Hijacking – Cướp phiên làm việc
Session Hijacking xảy ra khi attacker chiếm quyền kiểm soát một phiên giao tiếp hợp lệ.
Người dùng có thể đã:
Password → MFA → Authentication thành công
nhưng attacker tìm cách chiếm phiên sau khi xác thực hoàn tất.
Vì vậy, bảo mật không chỉ dừng ở việc xác minh người dùng khi đăng nhập mà còn phải bảo vệ toàn bộ phiên làm việc sau đó.
5. DoS – Làm dịch vụ mất khả dụng
Denial-of-Service (DoS) nhằm khiến hệ thống không còn khả năng phục vụ người dùng hợp pháp.
Attacker có thể làm cạn:
DoS chủ yếu đánh vào chữ A – Availability trong bộ ba CIA: Confidentiality – Integrity – Availability.
6. DDoS – Khi nhiều thiết bị cùng tấn công
Nguy hiểm hơn DoS là DDoS – Distributed Denial of Service.
Điểm cần nhớ:
Ví dụ:
Bot 1 ──┐
Bot 2 ──┤
Bot 3 ──┼──► Web Server
Bot 4 ──┤
... │
Bot N ──┘
Một botnet có thể gồm hàng nghìn hoặc hàng triệu thiết bị cùng gửi traffic đến mục tiêu. Vì nguồn tấn công phân tán và có thể xen lẫn traffic hợp lệ, DDoS khó ngăn chặn hơn DoS thông thường.
7. Resource Exhaustion – Làm thiết bị "kiệt sức"
Resource Exhaustion Attack là một dạng DoS nhằm làm cạn tài nguyên của hệ thống.
Với Router, attacker có thể nhắm vào:
Router có thể vẫn hoạt động, interface vẫn UP, nhưng khả năng forwarding hoặc quản trị đã suy giảm nghiêm trọng.
Đây là lý do Network Engineer cần hiểu các cơ chế như CoPP (Control Plane Policing), Rate Limiting và Infrastructure ACL (iACL).
🎯 Câu hỏi thường gặp
Which IP attack type is a simultaneous, coordinated attack from multiple source machines?
A. Rogue DHCP attack
B. DDoS attack ✅
C. MITM attack
D. MAC address flooding attack
Từ khóa:
multiple sources + simultaneous + coordinated → DDoS
IP (Internet Protocol) là nền tảng của Internet. Nhưng có một điểm rất quan trọng:
IP được thiết kế để chuyển packet đến đích, không phải để xác minh danh tính người gửi.
Đây là cơ sở để nhiều kiểu tấn công như IP Spoofing, MITM, Session Hijacking, DoS và DDoS có thể xảy ra.
1. Điểm yếu nằm trong cách IP hoạt động
IP là giao thức connectionless, hoạt động theo nguyên tắc best-effort. Bản thân IP không đảm bảo:
- Packet chắc chắn đến nơi.
- Packet đến đúng thứ tự.
- Source IP thực sự thuộc về thiết bị gửi.
Ví dụ:
Source: 10.10.10.10 → Destination: 192.168.1.10
Thiết bị nhận có thể xử lý packet dựa trên Source IP này, nhưng IPv4 không tự chứng minh rằng người gửi thực sự là 10.10.10.10.
2. IP Spoofing – Giả mạo địa chỉ IP
IP Address Spoofing xảy ra khi attacker tạo packet với Source IP giả.
Attacker → [Source IP giả] → Server
Server có thể tưởng packet đến từ một hệ thống hợp lệ.
IP Spoofing đặc biệt hữu ích với attacker khi chúng không cần nhận traffic trả về, chẳng hạn trong một số cuộc tấn công DoS/DDoS hoặc reflection/amplification.
Các biện pháp như ACL, Ingress/Egress Filtering và uRPF có thể giúp hạn chế spoofing.
3. Man-in-the-Middle – Đứng giữa hai bên
Trong MITM (Man-in-the-Middle), attacker tìm cách chen vào giữa hai hệ thống:
Client ←→ Attacker ←→ Server
Attacker có thể đọc, sao chép, sửa đổi rồi chuyển tiếp traffic.
Nếu attacker chỉ bí mật thu thập traffic mà không sửa đổi, hành vi này thường được gọi là Eavesdropping – nghe lén.
Đó là lý do các giao thức mã hóa như TLS/HTTPS, SSH và IPsec rất quan trọng.
4. Session Hijacking – Cướp phiên làm việc
Session Hijacking xảy ra khi attacker chiếm quyền kiểm soát một phiên giao tiếp hợp lệ.
Người dùng có thể đã:
Password → MFA → Authentication thành công
nhưng attacker tìm cách chiếm phiên sau khi xác thực hoàn tất.
Vì vậy, bảo mật không chỉ dừng ở việc xác minh người dùng khi đăng nhập mà còn phải bảo vệ toàn bộ phiên làm việc sau đó.
5. DoS – Làm dịch vụ mất khả dụng
Denial-of-Service (DoS) nhằm khiến hệ thống không còn khả năng phục vụ người dùng hợp pháp.
Attacker có thể làm cạn:
- CPU và Memory
- Packet Buffer
- Bandwidth
- Connection/Session Table
- Control Plane
DoS chủ yếu đánh vào chữ A – Availability trong bộ ba CIA: Confidentiality – Integrity – Availability.
6. DDoS – Khi nhiều thiết bị cùng tấn công
Nguy hiểm hơn DoS là DDoS – Distributed Denial of Service.
Điểm cần nhớ:
DDoS là cuộc tấn công đồng thời, có phối hợp từ nhiều máy nguồn khác nhau.
Ví dụ:
Bot 1 ──┐
Bot 2 ──┤
Bot 3 ──┼──► Web Server
Bot 4 ──┤
... │
Bot N ──┘
Một botnet có thể gồm hàng nghìn hoặc hàng triệu thiết bị cùng gửi traffic đến mục tiêu. Vì nguồn tấn công phân tán và có thể xen lẫn traffic hợp lệ, DDoS khó ngăn chặn hơn DoS thông thường.
7. Resource Exhaustion – Làm thiết bị "kiệt sức"
Resource Exhaustion Attack là một dạng DoS nhằm làm cạn tài nguyên của hệ thống.
Với Router, attacker có thể nhắm vào:
- CPU
- Memory
- Bandwidth
- Routing resources
- VTY/Management Sessions
- Control Plane
Router có thể vẫn hoạt động, interface vẫn UP, nhưng khả năng forwarding hoặc quản trị đã suy giảm nghiêm trọng.
Đây là lý do Network Engineer cần hiểu các cơ chế như CoPP (Control Plane Policing), Rate Limiting và Infrastructure ACL (iACL).
🎯 Câu hỏi thường gặp
Which IP attack type is a simultaneous, coordinated attack from multiple source machines?
A. Rogue DHCP attack
B. DDoS attack ✅
C. MITM attack
D. MAC address flooding attack
Từ khóa:
multiple sources + simultaneous + coordinated → DDoS